Terraform na platformie Azure

Terraform to opracowane przez firmę HashiCorp narzędzie open source do zarządzania infrastrukturą jako kodem. W przeciwieństwie do Bicep Terraform jest niezależny od dostawcy chmury — jedna baza kodu Terraform może jednocześnie zarządzać zasobami na platformach Azure, AWS, GCP i u wielu innych dostawców. Na platformie Azure Terraform korzysta z dostawcy AzureRM do komunikacji z interfejsem API ARM, dzięki czemu jest popularnym wyborem w środowiskach wielochmurowych.

Dostawca AzureRM to wtyczka, którą Terraform pobiera i wykorzystuje do tłumaczenia konfiguracji Terraform na wywołania interfejsu API ARM. Jest utrzymywana przez firmy HashiCorp i Microsoft oraz stanowi oficjalny sposób zarządzania zasobami platformy Azure za pomocą Terraform. Skonfiguruj dostawcę, podając identyfikator subskrypcji i metodę uwierzytelniania, a następnie uruchom terraform init, aby go pobrać.

Typowy projekt Terraform dla platformy Azure jest podzielony na kilka plików .tf: plik main.tf zawiera deklaracje zasobów, variables.tf definiuje zmienne wejściowe, outputs.tf definiuje wartości wyjściowe, a terraform.tfvars zawiera wartości zmiennych dla konkretnego środowiska. Terraform automatycznie ładuje wszystkie pliki .tf z bieżącego katalogu, dlatego podział na wiele plików służy wyłącznie czytelności.

W Terraform zasoby platformy Azure deklaruje się za pomocą bloków resource. Typem bloku jest resource, po którym podaje się typ zasobu AzureRM (np. 'azurerm_resource_group') oraz nazwę lokalną używaną do odwoływania się do zasobu w konfiguracji. Nazwy właściwości w Terraform zapisuje się w konwencji snake_case, a nie w konwencji camelCase lub PascalCase używanej w ARM JSON.

Podstawowy proces Terraform składa się z trzech etapów. terraform init pobiera dostawcę AzureRM i konfiguruje backend. terraform plan porównuje konfigurację z bieżącym stanem i wyświetla różnice dotyczące zasobów, które zostaną utworzone, zmienione lub usunięte — podobnie jak funkcja what-if w ARM. terraform apply wykonuje plan i aktualizuje platformę Azure tak, aby odpowiadała konfiguracji.

Terraform przechowuje plik stanu (terraform.tfstate), w którym zapisuje bieżący stan wszystkich zarządzanych zasobów i mapuje je na konfigurację. Dzięki temu plikowi Terraform może wykrywać rozbieżności między konfiguracją a zasobami istniejącymi na platformie Azure. W środowiskach zespołowych stan należy przechowywać zdalnie na koncie Azure Storage Account (backend Terraform), aby wszyscy członkowie zespołu korzystali z tego samego pliku stanu.

Terraform obsługuje kilka metod uwierzytelniania na platformie Azure. Podczas pracy lokalnej użyj az login (uwierzytelnianie za pomocą Azure CLI) — Terraform automatycznie pobierze dane uwierzytelniające. W potokach CI/CD użyj obiektu Service Principal z wpisem tajnym klienta lub certyfikatem, przekazanym za pomocą zmiennych środowiskowych. W przypadku agentów lub maszyn wirtualnych hostowanych na platformie Azure użyj obiektu Managed Identity, aby zapewnić najbezpieczniejsze uwierzytelnianie bez wpisów tajnych.

Podobnie jak moduły Bicep, moduły Terraform umożliwiają pakowanie i ponowne wykorzystywanie wzorców infrastruktury. Moduł to katalog zawierający pliki .tf. Odwołuje się do niego za pomocą bloku module, przekazuje dane wejściowe przez variables i korzysta z wartości wyjściowych. Terraform Registry zawiera setki modułów platformy Azure utworzonych przez społeczność i zweryfikowanych, których można używać bezpośrednio, na przykład modułu sieciowego AzureRM.

Wybierz Bicep, gdy organizacja korzysta wyłącznie z platformy Azure i zależy jej na ścisłej integracji z nowymi funkcjami platformy Azure (Bicep obsługuje nowe typy zasobów od pierwszego dnia). Wybierz Terraform, gdy zarządzasz zasobami u wielu dostawców chmury, potrzebujesz rozbudowanego ekosystemu modułów społeczności lub preferujesz składnię HCL i zestaw narzędzi HashiCorp. Oba rozwiązania sprawdzają się we wdrożeniach wyłącznie na platformie Azure — często decydują preferencje organizacji.

Jeśli zasoby już istnieją na platformie Azure i zostały utworzone przed rozpoczęciem korzystania z Terraform, można objąć je zarządzaniem Terraform za pomocą terraform import. To polecenie pobiera bieżący stan zasobu i dodaje go do pliku stanu Terraform. Po zaimportowaniu zasobu należy ręcznie napisać odpowiadający mu blok konfiguracji, dopasować go do zaimportowanego zasobu, a następnie uruchomić terraform plan, aby potwierdzić brak różnic.

Podczas korzystania z Terraform na platformie Azure należy stosować następujące najlepsze praktyki: przechowywać stan zdalnie w usłudze Azure Blob Storage z włączoną blokadą stanu, używać obszarów roboczych lub oddzielnych plików stanu dla różnych środowisk, nigdy nie zatwierdzać wpisów tajnych w kontroli źródła — zamiast tego używać źródeł danych Azure Key Vault, przypinać wersje dostawców, aby uniknąć zmian powodujących niezgodność, oraz uruchamiać Terraform w potoku CI/CD (Azure Pipelines lub GitHub Actions) z bramkami zatwierdzania planu.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) przedstawionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: Terraform to niezależne od chmury narzędzie IaC, które za pomocą dostawcy AzureRM zarządza zasobami platformy Azure; proces init, plan, apply umożliwia bezpieczne i przewidywalne wdrożenia; a zdalny stan w usłudze Azure Blob Storage jest niezbędny do współpracy zespołowej. Następnie omówimy tworzenie planów App Service i aplikacji Web Apps.